Websecurity - Веб безпека

Продовжуючи тему антивірусів для сайтів, розповім вам про ще один подібний сервіс. Це Clean MX.

Даний сервіс призначений для захисту від вірусів на веб сайтах та інших шкідливих сайтів. На сайті знаходяться списки сайтів з вірусами, спамерських та фішерських сайтів.

Веб сервіс Clean MX відрізняється від таких сервісів як McAfee SiteAdvisor, Norton Safe Web від Symantec та інших тим, що він представляє собою не сервіс виявлення шкідливого коду на сайтах, а список шкідливих сайтів. В цьому він подібний до сервісу DNS-BH – Malware Domain Blocklist.

Щоб скористатися даним сервісом, потрібно зайти на сайт, наприклад, на сторінку зі списком сайтів із вірусами. Та переглянути список з детальною інформацією по кожному шкідливому сайту.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Format string attack
• Heap feng shui
• Heap overflow
• Heap spraying
• IP hijacking

17.12.2009

У квітні, 25.04.2009, я знайшов Insufficient Anti-automation та Cross-Site Scripting уразливості на сайті http://www.zn.ua (онлайн ЗМІ). Про що найближчим часом сповіщу адміністрацію сайта.

Даний сайт доступний за доменами www.zn.ua, www.zn.com.ua, www.zn.kiev.ua, www.mirror.kiev.ua, www.zerkalo-nedeli.com, www.dt.ua та www.mw.ua. І відповідно атаки можуть відбуватися за усіма доменами. Враховуючи, що це persistent XSS, то вона може використовуватися для інфікування сайта вірусами.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

04.08.2010

Insufficient Anti-automation:

http://www.zn.ua/1000/1550/66049/

На сторінках з новинами в формі коментарів відсутній захист від автоматизованих запитів (капча).

XSS (Persistent):

POST запит в формі коментарів на сторінках з новинами:
"><script>alert(document.cookie)</script>В полі Комментарий.

Якщо XSS уразливість вже виправлена (і в нових коментарях неможливе використання тегів), то Insufficient Anti-automation уразливість досі не виправлена.

Продовжуючи займатися захисним хаком (protecting hack), в рамках моєї концепції хакерських війн про яку я розповідав раніше, після квітневого захисту сайта www.peremoga.gov.ua (який був взломаний black SEO), я захистив новий сайт. Цього разу я захистив сайт http://bestmaster.com.ua.

Коли я виявив уразливість на bestmaster.com.ua, про яку я вже писав та повідомляв адмінам (але безрезультатно, бо вони не читають пошту), я звернув увагу на продажні лінки на сторінках сайта. І в мене виникла підозра, що на цьому сайті попрацювали black SEO-шники. І враховуючи, що зв’язатися з адмінами не вийшло, сьогодні я перевірив дану підозру і вона підтвердилася - black SEO окупували даний сайт і почали розміщувати на сайті свої лінки та заробляли на цьому гроші.

Даний сайт був взломаний 05.01.2010, після чого на ньому почали розміщувати лінки через брокера. Як і у випадку з сайтом www.peremoga.gov.ua, на даному сайті лінки також розміщували через SAPE. Це вже другий випадок коли SAPE використовується для блексео діяльності.

Тобто через веб брокера (через php-скрипт) зловмисники розміщували лінки на взломаному сайті (і це вже другий подібний випадок). В цьому, як і в попередньому випадку, власники SAPE самі отримували прибуток, тому можуть вважатися спільниками. Дану ситуацію я виправив і прибрав дані нехороші лінки.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://viewhit.biz - інфекція була виявлена 03.08.2010. Зараз сайт входить до переліку підозрілих.
• http://bestofaudio.com - інфекція була виявлена 29.06.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://original-style.net.ua - інфекція була виявлена 01.08.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://mp3-online.kiev.ua - інфекція була виявлена 02.08.2010. Зараз сайт не входить до переліку підозрілих.
• http://kladoiskatel.org.ua - інфекція була виявлена 02.08.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфіковані сайти bestofaudio.com, mp3-online.kiev.ua та kladoiskatel.org.ua також хостить в себе Укртелеком.

Виявлене переповнення буфера в python-cjson - пакеті для Python.

Уразливі версії: python-cjson 1.0.

Переповнення буфера при розборі скрипта Python.

• New python-cjson packages fix denial of service (деталі)

В даній добірці уразливості в веб додатках:

• Hewlett-Packard OpenView NNM nnmRptConfig.exe Template Variable strcat Overflow Vulnerability (деталі)
• Hewlett-Packard OpenView NNM nnmRptConfig.exe Template Variable vsprintf Overflow Vulnerability (деталі)
• Hewlett-Packard OpenView NNM Multiple Command Injection Vulnerabilities (деталі)
• LinksAutomation Multiple Remote Vulnerabilities (деталі)
• phpGroupWare SQL Injections and Local File Inclusion Vulnerabilities (деталі)
• Websense Email Security Cross Site Scripting (деталі)
• Websense Email Security Web Administrator DoS (деталі)
• Joomla component SimpleDownload Local File Inclusion (деталі)
• XSS, SQL injection vulnerability in I-Vision CMS (деталі)
• XSS vulnerability in JComments, Joomla (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням www.runewsweek.ru, в статті Кібер-імперія зла розповідається про російських хакерів (а також згадуються деякі українські діячі, зокрема ті, що входять до числа найбільших в світі спамерів).

Захід знайшов нову глобальну загрозу. Місце “Аль-Каїди” зайняла всесвітня мережа російськомовних хакерів.

За повідомленням hackzona.com.ua, Sophos попереджає про нові атаки в Facebook. Антивірусна компанія Sophos в минулому місяці попередила про те, що кілька сотень тисяч користувачів соціальної мережі Facebook стали жертвами атаки типу Сlickjacking або так званого “угону кліків”.

За повідомленням www.crime-research.ru, у Вінницькій області СБУ піймала студента-хакера. Співробітники Управління Служби безпеки України у Вінницькій області затримали студента, що шляхом комп’ютерного взлому незаконно втрутився в роботу інтернет-сайта Могилів-Подільського міської ради.

СБУ встановило, що 20-літній студент одного з вінницьких вузів замінив логін і пароль у системі керування сайтом міськради, що дало можливість іншим користувачам мережі Інтернет одержати доступ до деяких його розділів.

Нещодавно, 29.07.2010, вийшла нова версія WordPress 3.0.1. Вихід нової версії WP співпав в часі з анонсом мого проекту День багів в WordPress 2 .

WordPress 3.0.1 це багфікс випуск 3.0 серії. В якому розробники виправили різноманітні баги. Всього було виправлено близько 50 багів.

15.12.2009

У квітні, 24.04.2009, я знайшов Abuse of Functionality та Insufficient Anti-automation уразливості на сайті http://hackua.com. Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

31.07.2010

Abuse of Functionality:

Логіні користувачів є їх іменами на форумі, що дозволяє визначити логіни в системі.

Abuse of Functionality:

На сторінці http://hackua.com/register.php?do=register в полі Логін можна визначити логіни користувачів в системі. Це також можна зробити через POST запит до скрипта http://hackua.com/ajax.php. Дана уразливість дозволяє провести Login Enumeration атаку.

Insufficient Anti-automation:

Враховучи, що дана функція немає захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів в системі. В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів системи.

Insufficient Anti-automation:

http://hackua.com/sendmessage.php?do=sendtofriend&t=1001

http://hackua.com/sendmessage.php

http://hackua.com/register.php?do=register

На даних сторінках наявна слабка текстова капча (коли потрібно ввести лише одну і ту саму фразу).

Дані уразливості досі не виправлені.